CVE-2026-105643 in Ghost
要約
〜によって VulDB • 2026年10月05日
GhostはNode.js製のコンテンツマネジメントシステムです。バージョン6.34.0から6.67.0の間、Ghostエディタ内の埋め込みカードにより、保存型クロスサイトスクリプティング（XSS）に対する保護を回避することができました。Contributorを含むすべてのスタッフユーザーは、投稿内容にスクリプトを格納でき、他のスタッフがその投稿をエディタで開いた際にスクリプトが実行され、当該ユーザーの管理者セッションが侵害される可能性があります。セルフホスト型のサイトでは、新しいsecurity.embedPreviewUrl設定オプションをデフォルト値のままにする必要があります。この問題はバージョン6.67.0で修正されています。
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.